Un presunto grupo de espionaje está enviando invitaciones a eventos y cartas de reuniones falsas a organizaciones del sur de Asia. Aunque los archivos parecen inofensivos, instalan silenciosamente un troyano de acceso remoto personalizado llamado PapRAT en equipos Windows. Para evitar la detección, la campaña utiliza imágenes de disco de Windows, archivos de acceso directo y carpetas web remotas.

Cibercriminales están vendiendo en foros de la dark web de habla rusa un kit de malware para Mac llamado ICMacOS (o Icarus macOS) por un precio de 699 dólares a la semana. Aunque inicialmente era un simple robador de datos, su versión más reciente es capaz de permanecer oculta en el sistema, sobrevivir a los reinicios y ejecutar comandos remotamente.

El creador de StealC ha regresado con Stadia, un troyano de acceso remoto (RAT) para Windows. Este malware no solo roba contraseñas, sino que permite a los atacantes controlar el escritorio de forma oculta, ejecutar comandos, gestionar archivos y procesos, e instalar software malicioso adicional. Este lanzamiento ocurre tras la interrupción de la Operación Endgame en junio.

Se ha identificado un nuevo troyano bancario para Android llamado Hirudo, el cual emplea una técnica inusual para el fraude financiero: intenta eliminar la aplicación bancaria legítima de la víctima para instalar una copia modificada en su lugar. Esta versión maliciosa mantiene el nombre y la versión original, pero incluye código adicional diseñado para evadir los controles de seguridad.

La versión 1.107.0 de LiteLLM fue comprometida en PyPI el 21 de octubre de 2026, distribuyendo un robador de credenciales y un troyano de acceso remoto (RAT) a través de sus archivos wheel. Esta versión maliciosa también afectó a las imágenes de Docker, poniendo en riesgo sistemas de desarrolladores y servicios de IA. Aikido advirtió que quienes instalaron esta versión deben asumir que sus credenciales han sido comprometidas.

Se ha analizado un nuevo troyano de acceso remoto (RAT) para Android llamado YuanKong, el cual permite vigilar y controlar el teléfono de la víctima. Este malware es capaz de capturar contraseñas y PINs de pago para enviarlos a sus operadores. A diferencia de otros virus, no depende de los mensajes de texto, sino que utiliza las funciones de accesibilidad y controles de pantalla de Android para observar la actividad del usuario dentro de diversas aplicaciones, incluyendo las bancarias.

El malware ICMacOS ha evolucionado de ser una herramienta de robo de contraseñas y datos de billeteras de criptomonedas a convertirse en un troyano de acceso remoto. Su versión más reciente incluye un canal de comandos en vivo y un mecanismo de inicio, lo que permite a los atacantes mantener una conexión persistente con los Macs infectados más allá del robo inicial de datos.

Se ha detectado un archivo adjunto malicioso en WhatsApp que despliega un troyano de acceso remoto en Windows. El ataque comienza con un archivo ZIP que utiliza un documento financiero como señuelo y contiene un ejecutable llamado Statement.exe. Una vez ejecutado, el malware puede alcanzar un acceso de nivel SYSTEM, otorgando a los atacantes un control profundo y total sobre el equipo infectado.

Un lector de PDF malicioso para Android, distribuido a través de Google Play, ha superado las 10,000 instalaciones actuando como instalador del troyano bancario Anatsa. Este caso demuestra cómo una herramienta de documentos rutinaria puede convertirse en una vía para malware que pone en riesgo las contraseñas bancarias y las cuentas financieras de los usuarios.

Se ha detectado un nuevo troyano de acceso remoto para Windows llamado AgtaBackup RAT, el cual utiliza páginas falsas de la Microsoft Store para infectar equipos. La campaña engaña a los usuarios ofreciendo software popular de videoconferencias, pero en su lugar instala una herramienta legítima de monitoreo y gestión remota (RMM) controlada por los atacantes para tomar control del sistema.

Microsoft analizó NeedyMantis, un malware utilizado por grupos presuntamente vinculados a China para mantener acceso a redes de organizaciones gubernamentales, médicas y universitarias. El software emplea la técnica de DLL sideloading para infiltrarse mediante programas legítimos y comunicarse con servidores de control externos. Se identificó su relación con el grupo Storm-3069 y se han publicado indicadores técnicos para que los administradores puedan detectar su presencia.

Se ha identificado 2CLoader, un nuevo cargador de malware diseñado para instalar programas de robo de credenciales en equipos Windows. Detectado por primera vez en agosto de 2026, se ha utilizado principalmente para distribuir Vidar, Remus y el RAT XWorm, los cuales pueden extraer contraseñas guardadas, datos del navegador e información de sesión para comprometer aún más el sistema.

El malware para Android RATHat utiliza la IA Gemini para tomar el control de los teléfonos infectados superando los permisos normales de las aplicaciones. Este troyano bancario aprovecha una función de desarrollador para crear un canal de comando independiente que persiste incluso si se elimina la aplicación, hasta que el dispositivo se reinicia. Su distribución se realiza mediante anuncios maliciosos y mensajes de phishing dirigidos a Europa y América Latina.

Se ha detectado una variante de SectopRAT oculta dentro de software legítimo de Windows que ha sido manipulado. Este malware permite a los atacantes tomar el control de computadoras infectadas y robar información sensible. La intrusión utilizó componentes genuinos de una aplicación de un desarrollador italiano para camuflarse, empleando archivos cifrados que ocultaban el código malicioso hasta su carga en la memoria.

Investigadores de Huntress han descubierto que unos hackers están abusando de la función de GPTs personalizados de ChatGPT para suplantar productos de IA. El objetivo es engañar a los usuarios para que instalen un troyano de acceso remoto (RAT) sofisticado. La campaña utiliza páginas alojadas en ChatGPT como punto de partida para ataques de tipo ClickFix, combinando publicidad maliciosa, avisos de verificación falsos y paquetes MSI maliciosos.

Se ha detectado un nuevo troyano bancario para Android llamado RemControl. Este malware engaña a los usuarios mediante páginas falsas que imitan a Google Play para descargar una aplicación de streaming de televisión. Una vez instalado, el troyano espera a que el usuario abra una aplicación bancaria para desplegar superposiciones creadas con IA diseñadas específicamente para robar los números PIN de acceso.

Ciberdelincuentes están utilizando engaños tipo ClickFix para distribuir ChainScript, un troyano de acceso remoto que usa contratos inteligentes de Polygon para evadir detecciones. Estos ataques se disfrazan de software legítimo como Spotify o Zoom y permiten el control total del sistema y el robo de criptomonedas. Además, se han detectado campañas similares en Reddit y mediante anuncios falsos que afectan tanto a Windows como a macOS.

Se ha detectado un nuevo malware para Android llamado RatHat que ataca a clientes bancarios mediante el uso de pantallas falsas y el robo de códigos de verificación. Esta amenaza puede capturar PINs, contraseñas y patrones de desbloqueo, facilitando el robo de cuentas y la realización de pagos, ya que el software tiene la capacidad de mantener el acceso al teléfono e reinstalarse mismo incluso después de que el usuario crea haber eliminado la aplicación maliciosa.

StreamRAT es un nuevo troyano bancario para Android que permite a los ciberdelincuentes tomar el control total de los dispositivos infectados. Mediante el uso de VNC y servicios de accesibilidad, el malware puede visualizar la pantalla, ejecutar acciones remotas y desplegar ventanas de inicio de sesión falsas para robar cuentas. Esta campaña ha estado dirigida específicamente a usuarios de habla hispana a través de anuncios en TikTok y plataformas de Meta.

El grupo de hacking iraní Nimbus Manticore ha desarrollado dos nuevos malwares multiplataforma, NodeRabbit y PollCat, capaces de infectar Windows, Linux y macOS. Los atacantes utilizan perfiles falsos de reclutadores en LinkedIn para engañar a ingenieros con falsas ofertas de empleo y retos de programación infectados. Estas herramientas permiten el acceso remoto y el robo de información, marcando una evolución hacia el uso de JavaScript y Node.js para ampliar sus objetivos.